テクノロジー関連のニュースをよく読む方なら、昨年10月に発生した大規模な分散型サービス拒否攻撃を覚えているかもしれません。この攻撃では、安全でない何百万台ものIoT (モノのインターネット) デバイスが乗っ取られ、強力なボットネットが作成され、複数の主要Webサイトがダウンしました。 これは最初のボットネット攻撃ではありませんし、絶対に最後でもありません。攻撃がますます激化する中、 Raspberry Pi Foundation などの一部の企業は、IoTデバイスをデフォルトで保護し、次のボットネット ゾンビ アポカリプスを防ぐための取り組みを行っています。
安全なRaspbian OS
前回の大規模なDDoS攻撃を受けて、Raspberry Piはいくつかの重要なアップデートによりRaspbian Pixel OSのセキュリティを強化することを選択しました。昨年11月に発表されたこれらの変更は、ほとんどの人にとっては気づかれないだろう。ただし、私と同じようにSSHを試みている場合は、若干の変更点があることに気付くでしょう。しかし、心配はいりません。これらはユーザーにとって大きな負担ではなく、Piを保護するのに大いに役立つでしょう。
それで何が変わったのでしょうか?イメージではSSHがデフォルトで無効になります。このSecure SHellネットワーク プロトコルを使用すると、ユーザーはLinuxコンピュータにログインし、コマンド ラインからリモートで制御できます。これは、 Pi をヘッドレス（つまりモニターや キーボードなしで）でインストールし、別のPCから制御するために最もよく使用されます。以前は、SSHはデフォルトで有効になっており、これをオフにするにはPiを画面とキーボードに接続する必要がありました。
Raspberry PiでSSHを有効にする
SSHはデフォルトでオフになっているので、イメージを起動する前にSSHを有効にするにはどうすればよいでしょうか?Raspberry Piは、このための簡単な方法を提供しています。新規インストールでSSHを有効にするには、 ssh というファイルを /boot/ ディレクトリに配置します。ファイルに何が含まれていても問題ありません。 ssh という名前があれば十分です。Piを起動すると、このファイルが検索され、見つかった場合はSSHが有効になり、その後ファイルが削除されます。もちろん、従来の方法でSSHをオンまたはオフにすることもできますが、これはヘッドレスの利便性のために追加された気の利いた方法にすぎません。
他に何か？SSHを有効にするときにデフォルトのパスワードを変更するように促すために、警告が追加されました。Piをデスクトップまたはコマンド ラインで起動する場合、SSHが有効になっていてデフォルトのパスワードが変更されていない場合は、新しいパスワードを設定するように指示する警告ポップアップ メッセージが表示されます。
画像1: デフォルトのユーザー アカウント名とパスワードを変更せずにRaspberry PiでSSHを有効にしようとしたときに表示される警告メッセージ。
Raspberry Piのデフォルトの認証情報: セキュリティを向上させる方法
デフォルトの資格情報を保持するとなぜリスクがあるのでしょうか?通常、Piがプライベート ホーム ネットワーク上にある場合、攻撃者がそれにアクセスすることはほとんどありません。Piをパブリック ネットワークに配置する予定の場合は、さらに大きな懸念が生じます。ハッカーが開いているSSHポートにアクセスしてログインするために必要なものは、主にユーザー アカウント名とパスワードの2つです。すぐに使えるRaspbianのインストールでは、ユーザー名は「pi」、パスワードは「raspberry」がデフォルトになります。SSHを有効にする予定がある場合は、デフォルトのログインを変更することを 非常に 強く (強調しすぎることはありません) 推奨します。したがって、Piから新たに警告メッセージが表示されます。
Raspberry Pi財団の目標は、Piを可能な限りオープンかつユーザーフレンドリーに保つことです。しかし、ハッカーがIoTデバイスを制御できるようにする製品の抜け穴を悪用するケースが増えている中、Raspberry PiがボットネットからPiの世界を保護するために積極的に取り組んでいるのは称賛に値します。この動きが、IoT分野の他の企業にもデバイスのセキュリティ保護に向けて同様の取り組みを促すきっかけとなることを期待しています。
セキュリティ アップデートと最新のRaspbian Pixel OSに含まれる機能の詳細については、公式Raspberry Pi Webサイトをご覧ください。